Basque Cyber Security Centre - Zibersegurtasun Euskal Zentroa

SQLi eta CSRF erako ahultasunak phpMyAdmin-en

Argitalpen data: 2019/06/05

Garrantzia: Kritikoa 

Kaltetutako baliabideak: 

  • 4.8.6 (CVE-2019-11768) baino lehenagoko phpMyAdmin-en bertsioak
  • 4.9.0 baino lehenagoko phpMyAdmin bertsio guztiak, gutxienez 4.0 (CVE-2019-12616) bertsioaz geroztikakoak

Azalpena: 

Bi ahultasun aurkitu dira phpMyAdmin-en, horietako bat kritikoa:

  • phpMyAdmin-eko lantaldeko kidea den William Desportes-ek Designer funtzioak duen SQL injekzio erako ahultasun baten berri eman du.
  • Mauro Tempestak kritikotzat kalifikatutako ahultasun bat aurkitu zuen, CSRF erakoa (Cross-Site Request Forgery edo gune gurutzatuetan eskaeraren faltsutzea), saio hasierako formularioan.

Konponbidea: 

Produktua eguneratzea edo partxeak aplikatzea gomendatzen da:

  • phpMyAdmin 4.8.6 bertsiora edo berriago batera eguneratzea edo partxea aplikatzea SQL injekzio erako ahultasuna konpontzeko.
  • phpMyAdmin 4.9.0 bertsiora edo berriago batera eguneratzea edo partxea aplikatzea CSRF erako ahultasuna konpontzeko.

Xehetasuna:

  • SQL injekzio erako ahultasunaren ondorioz, bereziki diseinatutako datu base baten izena erabil daiteke era horretako eraso bat abiatzeko. Ahultasun horretarako CVE-2019-11768 kodea erabili da.
  • CSRF erako ahultasuna baliatuz, erasotzaile batek erabiltzailea engaina lezake, adibidez biktimaren phpMyAdmin datu basera apuntatzen duen formularioan hautsita dagoen < img > etiketa baten bidez. Horrela erasotzaileak karga baliagarri edo payload bat eman lezake (INSERT edo DELETE jarraibide zehatz baten modura). Ahultasun horretarako CVE-2019-12616 kodea erabili da.

Etiketak: Eguneraketa, Ahultasuna